La detecció de VPN depèn d’on esteu mirant

Dos detectors poden vigilar el mateix usuari i discrepar, tots dos correctament. L’observador al costat de l’enllaç d’accés veu la conversa exterior del VPN; el lloc web veu la connexió d’aplicació que arriba des de la sortida. Són connexions diferents amb empremtes diferents, i l’evidència d’una no es trasllada a l’altra. Anomenar el punt d’observació abans de discutir qualsevol prova TLS o TCP és el que fa significativa l’afirmació.

Un detector sense un punt d’observació declarat descriu una opinió, no un mesurament.

Dos punts d’observació, dues connexions diferents

La conversa exterior pertany al protocol del túnel: els seus propis formats de missatge, la seva pròpia màquina d’estats, la seva pròpia temporització. La connexió interior és el navegador obrint TLS al lloc web, transportada pel túnel i després reenviada des de la sortida. Totes dues existeixen en el mateix moment i no són el mateix flux. Una és el que pot veure una xarxa d’accés, l’altra és el que pot veure la destinació, i un equip intermedi que acabi qualsevol de les dues canvia les dues imatges.

Aquesta diferència explica la major part de la confusió en les discussions sobre detecció. Una prova que informa d’una cosa sobre un flux sovint respon una pregunta sobre una capa diferent de la que l’operador tenia al cap.

Què veu l’observador del camí d’accés

Al costat de l’enllaç d’accés, el material visible és el mateix protocol del túnel: tipus de paquets de control i de dades per a OpenVPN, els patrons fixos d’apretada de mans i de dades de WireGuard, o qualsevol embolcall que afegeixi el desplegament. Si un classificador els pot identificar depèn del que és visible, de quin transport els porta i de si hi ha ofuscació addicional. Un patró recognoscible és evidència sobre un flux, i no evidència sobre la identitat o la intenció de la persona que hi ha darrere.

El port 443 és una convenció per arribar a un servei. No converteix tot transport de túnel en HTTPS.

Què veu realment el lloc web

Amb un túnel encaminat, el navegador continua executant la seva pròpia sessió TLS amb el lloc. La traducció a la sortida no converteix la passarel·la VPN en el punt final TLS del navegador, així que el ClientHello que rep el lloc descriu el navegador o la seva biblioteca TLS. Una empremta a l’estil JA3 caracteritza, doncs, la connexió d’aplicació, no el programari VPN que la transporta. Només un proxy que acaba deliberadament canvia aquesta disposició, i cal identificar-lo per separat.

Les observacions TCP necessiten la mateixa cura. El reenviament, la traducció i un proxy que origina una connexió nova són tres dissenys diferents, i només un d’ells reescriu la pila de transport. Una sola característica inusual no implica de manera única un túnel.

Mantingueu l’afirmació dins de l’evidència

La classificació de xarxa, l’observació de protocols, les empremtes d’aplicació i els senyals de compte són entrades per a una decisió de risc, cadascuna amb falsos positius, falsos negatius i evidència absent. Una adreça en un rang d’allotjament no demostra res sobre un VPN comercial, i una empremta de navegador comuna no demostra res sobre un de directe. Quan avalueu un detector, feu servir un conjunt de dades autoritzat amb camins coneguts i registreu quina observació va produir cada resultat.

Mantingueu la classificació de protocol separada d’una decisió d’accés amb conseqüències. Una resposta personalitzada o un truc de paquet malformat no valida la inferència que hi ha darrere; només pressiona una conjectura.

Un informe útil anomena l’observació, el punt d’observació i la confiança. Una línia escarida de «VPN detectat» amaga exactament la part que permetria a algú comprovar-ho.